Cisco Talos décrit une activité historique d’UAT-11473 sur des contrôleurs Cisco Catalyst SD-WAN. Le groupe aurait exploité CVE-2026-20127 pour accéder à des équipements, puis déployé le framework malveillant KeyDrift. Talos le décrit comme conçu pour maintenir une présence et collecter des informations sensibles du plan de contrôle.
Une activité sur les contrôleurs
Les contrôleurs SD-WAN administrent les connexions et les politiques d’un réseau réparti entre plusieurs sites. Selon Talos, les opérateurs d’UAT-11473 ont exploité une faille d’authentification du contrôleur, puis utilisé des scripts de démarrage pour installer des composants KeyDrift dans des processus légitimes.
Talos qualifie l’activité d’historique et ne publie pas de période précise. Son rapport ne doit donc pas être lu comme la confirmation d’attaques en cours aujourd’hui ni comme la désignation de victimes particulières.
Ce que KeyDrift est conçu pour faire
Talos décrit plusieurs composants. PolyFlame peut apporter un accès persistant et servir de relais de commandes. LittleFilch est conçu pour examiner du trafic de contrôle déchiffré et collecter des éléments de clés, qui peuvent ensuite être stockés sous forme chiffrée pour une exfiltration.
Cette capacité est préoccupante parce qu’un contrôleur concentre des informations utilisées par les équipements de la structure SD-WAN. Toutefois, la description d’une fonction ne prouve pas que chaque donnée visée a effectivement été transmise aux opérateurs. Talos ne présente pas de bilan d’exfiltration pour chaque environnement observé.
Ce que les administrateurs peuvent faire
Vérifiez que les contrôleurs, gestionnaires et validateurs Cisco concernés exécutent une version corrigée selon l’avis officiel. La correction de la vulnérabilité d’accès et la recherche de traces après compromission répondent à deux questions différentes : un équipement corrigé peut avoir été compromis avant la mise à jour.
Talos publie des indicateurs et des règles de détection dédiés. Comparez les fichiers, scripts de service et journaux des contrôleurs avec les recommandations de Cisco et de Talos. Si vous trouvez des signes de persistance, isolez les équipements selon votre procédure d’incident, préservez les éléments nécessaires à l’enquête et sollicitez Cisco TAC.
Une attribution à nuancer
Talos estime avec un niveau de confiance élevé que l’infrastructure d’UAT-11473 recoupe largement le réseau furtif « Silent Train » décrit par Lumen comme exploité par Volt Typhoon. Un recoupement d’infrastructure ne suffit pas à établir que les noms désignent exactement le même groupe. Gardez cette nuance lorsque vous partagez ou utilisez le rapport.
Le lien avec Soclyde
La gestion contrôlée des comptes privilégiés et des mots de passe est une partie de la protection d’une organisation, mais elle ne remplace pas les mises à jour et la surveillance des contrôleurs réseau. Soclyde conserve un coffre chiffré sur les appareils des utilisateurs plutôt que dans un coffre cloud centralisé exploité par Soclyde. Pour comprendre ce choix, consultez notre guide sur le stockage local ou cloud.
À retenir
Le rapport de Talos transforme un avis de vulnérabilité en enquête de compromission : il décrit un implant conçu pour rester dans les contrôleurs SD-WAN et accéder aux informations du plan de contrôle. Appliquez les correctifs, puis recherchez les signes de persistance même si l’équipement est maintenant à jour.
